DNS / RBL Zone: Live-Blocklist für Mailserver

Die Community Blacklist von ReportedIP lässt sich als DNS-Blocklist abfragen. Seit dem 29. Mai 2026 prüfen Mailserver und Firewalls jede IPv4- oder IPv6-Adresse gegen eine private RBL Zone unter bl.reportedip.de, ohne Dateidownloads und ohne Importjobs.

Die DNS / RBL Zone ist ein wiederkehrendes Add-on für die Tarife PRO, Business und Enterprise und kostet 7,90 € im Monat oder 79 € im Jahr. Jedes Abo bringt einen eigenen Token und 100.000 Abfragen pro Tag mit.

Was ist eine DNS-RBL-Zone?

Eine DNSBL (DNS-basierte Blocklist, auch RBL genannt) beantwortet über DNS eine einzige Frage: Ist diese IP-Adresse als Angreifer bekannt? Der Mailserver dreht die Adresse des verbindenden Hosts um, hängt den Zonennamen an und stellt eine gewöhnliche DNS-Anfrage. Für eine gelistete Adresse kommt ein A-Record aus dem Bereich 127.0.0.0/8 zurück, für eine saubere Adresse NXDOMAIN.

Bevor es die Zone gab, war die Blacklist nur als Datei zum Herunterladen und über die REST-API erhältlich. Für Firewalls, die Listen importieren, reicht das, Mailserver erwarten aber eine Live-DNSBL. Die Zone liefert dieselbe Community Blacklist über DNS aus und aktualisiert sie alle paar Minuten aus der Quelle.

Zum Start am 29. Mai 2026 enthielt die Zone 11.134 Adressen. Am 29. September 2026 waren es 6.885, weil Adressen, die nicht mehr angreifen, inzwischen an Confidence verlieren und die Liste von selbst verlassen. Details dazu stehen im Beitrag zur selbstbereinigenden Blacklist.

Wie beantwortet die Zone eine Abfrage?

Ihr privater Zonen-String

Jedes Abo erzeugt einen Token aus 48 Hexadezimalzeichen. Ihr Zonen-String lautet <your-token>.bl.reportedip.de. Um 1.2.3.4 zu prüfen, fragt der Server 4.3.2.1.<your-token>.bl.reportedip.de ab. IPv6-Adressen werden als 32 umgedrehte Nibbles abgefragt, in derselben Form wie unter ip6.arpa.

Die Rückgabecodes bilden die Confidence ab

Der Confidence Score steckt bereits in der Antwort, der Mailserver braucht deshalb keine eigene Zuordnung:

A-Record	Bedeutung	Empfohlene Aktion
`127.0.0.2`	Gelistet, hohe Confidence (90 oder mehr)	Ablehnen
`127.0.0.3`	Gelistet, mittlere Confidence (75 bis 89)	Ablehnen oder bewerten
`NXDOMAIN`	Sauber oder nicht in der abgefragten Kategorie	Annehmen
`127.255.255.251`	Tageskontingent erreicht	Weiteren Token buchen
`127.255.255.252`	Token ungültig oder Abo inaktiv	Token prüfen

Eine Abfrage über dem Ratenlimit des Tokens wird mit REFUSED statt mit einer Adresse beantwortet. Die Test-IP 127.0.0.2, abgefragt als 2.0.0.127.<your-token>.bl.reportedip.de, liefert immer 127.0.0.2. So prüfen Sie die Einrichtung ohne eine echte gelistete Adresse. Der Testpunkt zählt nicht gegen das Tageskontingent.

Unterzonen filtern nach Bedrohungskategorie

Setzen Sie einen Kategorie-Slug zwischen Token und Zone, um nur einen Bedrohungstyp abzufragen: <reversed-ip>.<your-token>.<slug>.bl.reportedip.de. Es gibt neun Unterzonen: spam, brute-force, cms-login, web-attacks, malware, ddos, fraud, infrastructure und apt. Ein Treffer kommt nur zurück, wenn die Adresse in dieser Kategorie gelistet ist.

Wie binde ich die Zone in Postfix oder Rspamd ein?

Ihr Token ist eine private Zugangskennung. Postfix schreibt standardmäßig den vollständigen Zonennamen samt Token in die 554-Ablehnung, die jeder blockierte Absender erhält, und in Ihr Mail-Log. Das Postfix-Beispiel unten ersetzt deshalb den Antworttext.

Postfix

# main.cf
smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_rbl_client <your-token>.bl.reportedip.de=127.0.0.[2..3],
    ...
rbl_reply_maps = texthash:/etc/postfix/rbl_reply

# /etc/postfix/rbl_reply
<your-token>.bl.reportedip.de 554 5.7.1 Blocked - your IP is listed at reportedip.de

Eine texthash:-Map braucht keinen postmap-Lauf, ein postfix reload genügt. Die eine Zeile reject_rbl_client deckt Absender über IPv4 und IPv6 ab, und andere Blocklisten, die Sie abfragen, behalten ihren eigenen Antworttext.

Rspamd

# local.d/rbl.conf
rbls {
  reportedip {
    rbl = "<your-token>.bl.reportedip.de";
    ipv4 = true;
    ipv6 = true;
    returncodes {
      REPORTEDIP_HIGH   = "127.0.0.2";
      REPORTEDIP_MEDIUM = "127.0.0.3";
    }
  }
}

Rspamd fügt dem Spam-Score ein Symbol hinzu und schickt dem Absender keinen Zonennamen, der Token bleibt also auf Ihrem Server.

Andere Mailserver und BIND RPZ

Jede Software, die eine DNSBL per Namen abfragt, etwa Exim mit der Bedingung dnslists, funktioniert mit demselben Zonen-String. BIND RPZ wird nicht unterstützt: Eine Response Policy Zone wird per Zonentransfer geladen, die Zone beantwortet aber nur einzelne Abfragen. Die DNSBL-Einrichtungsdoku beschreibt alle Optionen, auch die Kategorie-Unterzonen.

Was kostet die Zone und welche Limits gelten?

7,90 € im Monat oder 79 € im Jahr, inkl. MwSt. PRO, Business und Enterprise buchen sie als eigenes Abo neben ihrem Tarif und kündigen es im Abrechnungsportal.
100.000 DNS-Abfragen pro Tag und Token, Reset um 00:00 UTC. Oberhalb des Limits liefert nur dieser Token bis zum Reset 127.255.255.251.
Beliebig viele Tokens. Kontingent, Ratenlimit und Rotation gelten pro Token. Mit einem Token pro Mailserver verbraucht ein ausgelastetes Relay nicht das Budget der anderen.
Resolver-Caching hält das Volumen klein. Eine Listung wird 30 Minuten zwischengespeichert, eine saubere Antwort 5 Minuten, die meisten Wiederholungsabfragen verlassen Ihr Netz also nie.
Datenschutz. Abgefragte Adressen landen in keiner Datenbank. Die DNS-Server führen ein kurzes, rotierendes Betriebslog ohne Abfrageinhalte und einen täglichen Abfragezähler pro Token und stehen in der EU.

Warum eine Blocklist über DNS statt als Datei abfragen?

DNS passt zu dieser Aufgabe. Ihr Resolver speichert Antworten zwischen, wiederholte Prüfungen werden lokal beantwortet. Es gibt nichts zu importieren und nichts zu synchronisieren, die Zone folgt denselben Daten wie unsere Community Threat Intelligence. Die Adressen, die Sie blockieren, greifen WordPress-Seiten an, wie der Wochenend-Angriffsbericht zeigt.

Für mehrere Mail-Relays zeigt der Leitfaden zum Server-Cluster, wie die Zone neben dem Firewall-Blocking auf jedem Knoten arbeitet.

Welchen Standards folgt die Zone?

Die Zone folgt RFC 5782: umgedrehte Oktette für IPv4, umgedrehte Nibbles für IPv6, der Testpunkt 127.0.0.2 und der reservierte Bereich 127.255.255.0/24 für Fehlercodes. Der Aufbau mit Token in der Abfrage entspricht der Konvention für schlüsselbasierte DNSBLs, die auch der Data Query Service von Spamhaus nutzt. Anders als die meisten kostenlosen Blocklisten, die nur IPv4 kennen, deckt die Zone IPv4 und IPv6 gleichermaßen ab.

Häufige Fragen

Welche Tarife können die DNS / RBL Zone buchen?

PRO, Business und Enterprise können die DNS / RBL Zone als wiederkehrendes Add-on für 7,90 € im Monat oder 79 € im Jahr buchen, inkl. MwSt. Sie ist in keinem Tarif enthalten und läuft als eigenes Abo, eine Kündigung lässt Ihren Tarif also unberührt. Free- und Contributor-Konten sehen das Angebot, können es aber nicht buchen.

Worin unterscheidet sich die Zone von der Blacklist-Datei?

Zone und Datei enthalten dieselbe Community Blacklist, nur der Transportweg ist ein anderer. Die Datei ist ein Download, den Sie regelmäßig importieren, meist in eine Firewall. Die Zone beantwortet jede Abfrage live über DNS, ein Mailserver prüft also immer gegen die aktuelle Liste, ohne Importjob und ohne lokale Kopie.

Kann ein Token mehrere Mailserver bedienen?

Ein Token kann mehrere Server bedienen, die 100.000 täglichen Abfragen teilen sich dann aber auf alle auf. Mit einem eigenen Token pro Mailserver erhält jeder sein eigenes Kontingent und Ratenlimit, und ein offengelegter Token lässt sich rotieren, ohne die anderen anzufassen. Weitere Tokens buchen Sie im Dashboard.

Funktioniert die Zone mit BIND RPZ?

Die Zone funktioniert nicht als Response Policy Zone für BIND. RPZ braucht die vollständige Zone per Transfer, die Zone von ReportedIP beantwortet aber nur einzelne Abfragen mit gültigem Token. Nutzen Sie sie stattdessen über die DNSBL-Unterstützung Ihres Mailservers oder Spamfilters, etwa Postfix, Rspamd oder Exim.

Weiterlesen

DNS / RBL Zone: Funktionen, Preis und Buchung
DNSBL-Einrichtungsdoku: alle Optionen im Detail
DNSBL Blacklist Check: eine Adresse gegen die Zone und zwölf weitere Listen prüfen
Preise anzeigen

DNS / RBL Zone: die Community-Blocklist direkt vom Mailserver abfragen